Google Workspace (SSO) の統合
このガイドでは、SecureAI を使用したシングル サインオン（SSO）用に Google Workspace を構成するプロセスについて説明します。 Google Cloud Console から必要な認証情報を取得し、それを送信して統合を完了する方法を学習します。前提条件
- Google Cloud Consoleへの管理者アクセス
- 組織の Google Workspace アカウント
- 組織の Google Workspace 管理コンソールへのアクセス（ドメイン制限を使用している場合）
- SecureAI への管理者アクセス
ステップ 1: Google Cloud Console でプロジェクトを作成する
- Google Cloud コンソールにログインします。
- ページの上部にあるプロジェクトのドロップダウンをクリックします。
- [新しいプロジェクト] をクリックします。
- プロジェクト名を入力します (例: 「SecureAI SSO」)
- [作成] をクリックします。
ステップ 2: Google+ API を有効にする (必要な場合)
- プロジェクトで、API とサービス > ライブラリ に移動します。 2.「Google+ API」または「Google ID」を検索します。
- それをクリックし、[有効にする] をクリックします (まだ有効になっていない場合)。
- 注意: 最新の Google OAuth ではこれが必要ない場合がありますが、これを有効にすると互換性が確保されます。
ステップ 3: OAuth 同意画面を構成する
- API とサービス > OAuth 同意画面 に移動します。
-
必要な情報を入力します。
- アプリ名: 名前を入力します (例: 「SecureAI」)
- ユーザー サポートの電子メール: サポートの電子メール アドレスを選択します
- 連絡先情報: 連絡先メールアドレスを追加します。
-
ユーザー タイプを選択します。
- 内部: Google Workspace 組織内のユーザーのみ（企業での使用を推奨）
- 外部: 組織外のユーザー向け
- [作成] をクリックします。
- ブランディング:
- 左側のメニューの ブランディング セクションに移動します
- 承認済みドメインを検索し、会社のドメインを追加します
- これにより、ユーザーは会社の電子メール アドレスでサインインできるようになります。
- (さらに、必要に応じて、ホームページの URL、プライバシー ポリシー、および利用規約を追加できます)
- 範囲:
- 左側のメニューで、データ アクセス セクションをクリックします。
- [データ アクセス] セクション内で、[スコープの追加または削除] をクリックします。
- 左側からウィンドウが開き、ロールを検索できます
- ロール 「openid」 を検索して選択します
- [更新] をクリックします。
- 次に、[データ アクセス] セクションで [保存] をクリックします。
- 注意:
openidスコープには、profileおよびemailアクセスが自動的に含まれます。これらを個別に追加する必要はありません。 - 他のスコープ オプションが表示される場合は、SecureAI SSO の OpenID のみが必要です
- 重要: OpenID スコープは、以下へのアクセスを提供します。
- ユーザーのメールアドレス
- 基本的なプロフィール情報
- SecureAI 認証に必要なのはこれだけです
-
テスト ユーザー (外部を使用している場合):
- テスト中に必要に応じてテスト ユーザーを追加します
- 保存して続行をクリックします
-
概要:
- 設定を確認してください
- [ダッシュボードに戻る] をクリックします。
ステップ 4: OAuth 2.0 認証情報を作成する
- API とサービス > 認証情報 に移動します
- [+認証情報の作成] > [OAuth クライアント ID] をクリックします。
- アプリケーション タイプ: Web アプリケーションを選択します
- 名前: わかりやすい名前を入力します (例: 「SecureAI SSO クライアント」)
- 承認されたリダイレクト URI: + URI の追加 をクリックし、次のように入力します。
https://{enterprise.name}.hiperai.ai/api/auth/google/callback- 重要: URL は正確に一致する必要があります (
https://および/api/auth/google/callbackを含む)
- [作成] をクリックします。
ステップ 5: 資格情報を取得する
OAuth クライアントを作成した後:- 資格情報を示すポップアップが表示されます
- クライアントID:
- 次のようになります:
123456789012-abcdefghijklmnopqrstuvwxyz123456.apps.googleusercontent.com - この値をコピー - 後で必要になります
- 次のようになります:
- クライアント シークレット:
- 次のようになります:
GOCSPX-abcdefghijklmnopqrstuvwxyz - この値をすぐにコピーします
- 警告: このシークレットはポップアップに 1 回だけ表示されます。紛失した場合は、新しい OAuth クライアントを作成する必要があります
- 次のようになります:
ステップ 6: 変数を Hiper AI チームに送信する
Google Cloud Console で OAuth クライアントを作成し、上記の手順を実行すると、次の重要な情報を取得できます。- クライアント ID (ステップ 5 から)
- クライアント シークレット (ステップ 5 から)
- リダイレクト URI:
https://{enterprise.name}.hiperai.ai/api/auth/google/callback
A. 管理パネルにアクセスする
- SecureAI インスタンスに管理者としてログインします。
https://{enterprise.name}.hiperai.ai/admin/homeに移動します- 右上隅で、管理者のプロフィール写真をクリックします。
- これにより、さまざまなオプションを含むドロップダウン メニューが開きます
B. サポート リクエストを送信する
- ドロップダウン メニューから 「サポートを受ける」 をクリックします
- ポップアップ ウィンドウにサポート チケット フォームが表示されます。
- フォームに次の情報を入力します。
- カテゴリ: **「統合と実装」**を選択します
- 件名: 「Google Workspace SSO Integration」 と入力します
- 説明: セットアップ プロセス中にコピーした値を貼り付けます。
- クライアントID
- クライアントシークレット
- リダイレクト URI:
https://{enterprise.name}.hiperai.ai/api/auth/google/callback
- 「リクエストを送信」 ボタンをクリックします。
C. 確認を待つ
- 24 ～ 72 時間以内に確認メールが届きます (空き状況によって異なります)。
- 電子メールにより、SSO が正常に設定されたことが確認されます。
- 構成が完了すると、サインイン ページの 「Google で続行」 ログイン ボタンを使用して SecureAI インスタンスにアクセスできるようになります。
ユーザー設定
既存ユーザー
SecureAI にすでにアカウントを持っているユーザー (基本認証を使用するかどうかに関係なく) 再作成する必要はありません。既存のアカウントを引き続き使用でき、構成が完了すると、Google Workspace SSO を使用してログインすることもできます。 重要: SSO が機能するには、Google Workspace のユーザーのメールアドレスが SecureAI のメールアドレスと正確に一致する必要があります。新しい SSO ユーザーの作成
SSO 経由のみで SecureAI にアクセスする必要がある新規ユーザーの場合:- SecureAI 管理パネルの ユーザー管理 に移動します
- クリックして新しいユーザーを作成します
- ユーザーを作成するときに、「ビジネス アカウント / SSO」 オプションを選択します。
- この構成により、次のことが保証されます。
- 新しいユーザーは パスワードを生成するための電子メールを受け取りません
- ユーザーは Google Workspace SSO ログイン ボタンを使用して直接 SecureAI にアクセスできるようになります
- Google Workspace のユーザーのメールアドレスは、SecureAI に入力されたメールアドレスと正確に一致する必要があります
トラブルシューティング
エラー: 「redirect_uri_mismatch」
- Google Cloud Console のリダイレクト URI がサーバーで構成されているものと正確に一致していることを確認します。
- 必ず
https://を含めてください (運用環境ではhttp://ではありません)。 - リダイレクト URI は正確に
https://{enterprise.name}.hiperai.ai/api/auth/google/callbackである必要があります。 - 末尾のスラッシュまたはタイプミスをチェックする
エラー: 「SecureAI データベースにユーザーが見つかりません」
- ユーザーは事前にSecureAIに登録されている必要があります
- SecureAI 管理者に連絡してユーザー アカウントを作成してください
- Google Workspace のメール アドレスが SecureAI のメール アドレスと正確に一致することを確認します。
エラー: 「メール ドメインは Google Workspace へのログインに許可されていません」
- ユーザーの電子メール ドメインが、許可されたドメイン リストに含まれていません。
- 開発チームに連絡して、ドメインを許可リストに追加してください
- または、ドメイン制限の設定が正しいことを確認します。
エラー: 「アクセス拒否」または「未承認クライアント」
- OAuth 同意画面が適切に設定されていることを確認します。
- アプリケーションが承認されていることを確認します (外部ユーザー タイプを使用している場合)
- クライアント ID とクライアント シークレットが正しいことを確認してください
エラー: 「無効なクライアント」
- クライアント シークレットがリセットされているか、間違っている可能性があります
- Google Cloud Console でクライアント シークレットを確認する
- 必要に応じて新しいクライアント シークレットを作成し、開発チームに新しい値を提供します
クライアント シークレット セキュリティのベスト プラクティス
- シークレットをコード リポジトリに決してコミットしない
- シークレットを定期的にローテーションします (推奨: 90 日ごと)
- Google Cloud Console の認証情報ページへの アクセスを制限
- 開発チームと秘密を共有するときは 安全なチャネルを使用
- Google Cloud Console で 使用状況を監視して、不審なアクティビティがないか確認する
クライアント シークレットの更新
クライアント シークレットをローテーションするには (90 日ごとを推奨):- API とサービス > 認証情報 に移動します
- OAuth 2.0 クライアント ID を見つけます。
- 鉛筆アイコン (編集) をクリックします。
- [クライアント シークレット] セクションで、[シークレットのリセット] をクリックします。
- 新しいシークレット値を すぐにコピー
- 管理パネルのサポート リクエストを通じて、開発チームに新しいシークレットを提供します。
- サービスを中断することなく構成を更新します。
- 新しいシークレットが機能することを確認した後、必要に応じて古いシークレットを削除できます。
SSO ログインのテスト
構成が完了したら、次のようにします。- SecureAI ログインページに移動します。
- [Google で続行] をクリックします。
- Google Workspace アカウントを選択します
- プロンプトが表示されたら、権限を付与します。
- SecureAI にリダイレクトされ、ログインする必要があります。
- ブラウザの Cookie をクリアして、もう一度お試しください
- 正しい Google Workspace アカウントを使用していることを確認してください
- 電子メールが SecureAI に存在することを確認してください
サポート
構成中に問題が発生した場合:- Google Cloud Console で管理者権限があることを確認します。
- Google Workspace 管理者アクセス権があることを確認します（ドメイン制限が使用されている場合）
- 管理パネルのサポート リクエストを通じて開発チームに連絡し、次のように連絡します。
- エラーのスクリーンショット
- クライアント ID (これは共有できますが、機密ではありません)
- 完全なエラーメッセージ
- 関連するブラウザ コンソール エラー